BTC 钱包风险检测与恢复评估 #1241

### 1. 一句话结论
这是一枚创建于2011年、至今仍持有约270.54 BTC的比特币Legacy格式钱包（钱包ID 1241），其链上活动在2011年4月最后一次转出后陷入长达十余年的沉寂，直至2026年5月出现一笔转入；目前我们**尚未获得该钱包的明文密码**，但已通过文件与链上数据锁定了清晰的取证边界。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件名为 `wallet_150.dat`（业务别名 `wallet_150BTC`），大小 131,072 字节，属于 `bitcoin_legacy_bdb` 格式（Bitcoin Core 旧版 Berkeley DB 钱包）。
- **资产规模**：当前余额 **270.54011397 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即这是一枚高价值钱包。
- **主地址**：`19LyHoxPiha1Vf8EjLD6i1GtnUQVz2fzQ7`。
- **录入与更新时间**：2026-06-23 录入，2026-08-08 最后更新；数据标注日期为 2026-06-23。
- **链上统计**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）43 笔，最后转出时间 **2011-04-12**；
- 转入（receive）66 笔，最后转入时间 **2026-05-23**；
- 近30天转出/转入均为 0 笔；
- 交易时间跨度 5789 天（约 15.8 年）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即明文密码未知。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包的线索始于 2026 年 6 月的一次数据入库。当时我们拿到的是一个名为 `wallet_150.dat` 的 128KB 文件，路径指向一个标注为“MEGA-BONUS”的比特币核心钱包数据集。从文件格式与大小判断，它属于 2011 年前后 Bitcoin Core 常用的 Legacy BDB 结构——这与链上记录完全吻合：该地址在 2011 年 4 月 12 日完成最后一笔转出后，便再未移动过资金。

我们随后比对了链上交易摘要：66 笔转入、43 笔转出，时间跨度长达 5789 天。最引人注目的是，在长达 15 年的静默后，2026 年 5 月 23 日竟出现了一笔新的转入。这笔转入发生在钱包文件被录入（2026-06-23）之前约一个月，说明该地址在“被我们发现”之前，仍有人或某个流程在向它发送 BTC。

目前我们停留在“已确认资产存在、但无法打开钱包”的阶段。所有尝试都围绕如何合法、合规地验证对该钱包的控制权或恢复权限，而非暴力获取密钥。截至最新更新（2026-08-08），密码验证仍未成功。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 66 笔，最后一笔发生在 **2026-05-23 06:00:03**。近30天转入为 0。
- **转出（send）**：共 43 笔，最后一笔发生在 **2011-04-12 02:52:57**。近30天转出为 0。
- **解读**：该钱包在 2011 年 4 月前处于活跃使用状态（频繁转出），此后转入与转出均停止，进入长达 15 年的休眠期。直到 2026 年 5 月出现一笔孤立的转入，但随后再无动静。**我们无法从现有字段判断这笔 2026 年转入的意图或来源方**，只能确认其方向为 receive。
- **未知项**：每笔交易的具体金额、对手地址、以及 2026 年那笔转入的 BTC 数量，均未在本次数据中同步，需补充交易明细表。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **270.54 BTC**，业务标注“余额很小（≤阈值）”为 **否**——即这是一枚高价值目标，不存在“余额为0所以放弃”的业务判断。
- **明文密码状态**：强证据字段显示 `cracked_password/actual_password = 否`。**我们尚未获得明文密码，也未验证成功**。任何关于“已破解”的说法均不属实。
- **补充说明**：钱包文件本身可读取（大小、格式、路径均已知），但“能读取文件”不等于“能解密使用”。当前卡点在于无法通过密码验证打开钱包以导出私钥。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **2026-05-23 那笔转入的完整交易记录**（金额、对手地址、输入脚本类型）——这是打破 15 年静默的关键异常点，可能关联钱包控制人的最新动态。
2. **钱包文件来源方的元数据**：该文件在 `fake.czb.com` 数据集中的上级目录信息、打包时间、原始上传者备注。
3. **2011 年 4 月 12 日最后一笔转出的对手地址与找零地址**——可能关联钱包所有者的其他身份地址。
4. **钱包文件内部 BDB 结构中的时间戳字段**（如 `mtime`、`ctime`），用于确认文件最后被本地钱包软件打开/修改的时间。
5. **该主地址在 2011 年之前的首次转入来源**（创世收入），可能指向矿池或交易所提现记录。
6. **是否存在同名钱包文件的其他副本**（如备份路径、其他数据集中的 `wallet_150.dat`），用于交叉验证文件完整性。
7. **钱包所有者的历史公开线索**：若该地址曾在论坛、BitcoinTalk 或早期交易所 KYC 记录中出现，可补充关联。
8. **链上 66 笔转入的时间分布图**——若存在规律性（如定期定投），可辅助判断所有者身份或自动化脚本行为。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式分析**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包或非标准格式的可能——无需再对文件头做重复猜测。
- **密码字典/规则测试**：已进行过一轮常规密码候选测试（基于常见口令、日期、钱包名 `wallet_150BTC` 相关变体），结果均未通过验证。**注意：此处不展开任何具体规则细节**，仅记录该方向已消耗资源。
- **链上行为分析**：已完成基础的方向统计与时间跨度梳理，确认了 2011 年与 2026 年两个关键时间节点。
- **业务标注核对**：已确认该钱包不属于“余额为0可放弃”类别，排除了因低价值而提前终止调查的误判。
- **未尝试/需避免**：任何针对 BDB 文件内部加密密钥的暴力提取尝试，均属于超出合规取证范围的操作，且可能损坏证据文件，不应重复投入。